Melhorias de segurança do Office 2003

Data de publicação: Novembro de 2003

Fazer o download deste documento

Resumo: Ao desenvolver as edições do Office 2003, a Microsoft incorporou novos processos e princípios inspirados na iniciativa de Computação Confiável e criou um produto mais seguro, por padrão e na instalação, em relação a versões anteriores do Microsoft Office. Este documento descreve como uma nova equipe, a equipe de Computação Confiável do Office, incorporou esses novos processos ao desenvolvimento das edições do Office 2003. O documento também discute o resultado – o conjunto de aplicativos para profissionais do conhecimento mais seguro disponível – descrevendo os principais recursos, as configurações padrão e os recursos de implantação.

Introdução

A iniciativa de Computação Confiável da Microsoft® apresenta novos processos de desenvolvimento para garantir maior segurança nos produtos que fornecemos aos clientes. Ao desenvolver as edições do Office 2003, a Microsoft incorporou esses novos processos e criou um produto mais seguro no design, por definição e na instalação em relação a versões anteriores do Microsoft Office. O resultado é a versão mais segura do Office até hoje.

A primeira seção deste documento explica como a iniciativa de Computação Confiável forneceu mais segurança e uma melhor compreensão sobre ser seguro no design, por padrão e na estrutura de instalação. O restante do documento mostra como as edições do Office 2003 (Edições são as várias ofertas que incluem combinações do Microsoft Office Word 2003, Microsoft Office Excel 2003 e de outros programas principais) são mais seguras em relação a versões anteriores do Microsoft Office. Além disso, este documento descreve como uma nova equipe, a equipe de Computação Confiável do Office, desempenhou um papel significativo no desenvolvimento do processo, orientando a adoção de novos processos de definição de especificações, teste e avaliação, dentre outras coisas.

Para obter informações mais detalhadas sobre os recursos de segurança e sobre personalização de configurações de segurança, consulte o Informe oficial de segurança do Microsoft Office 2003 em https://www.microsoft.com/technet/prodtechnol/office/Office2003/Plan/O3secdet.asp (site em inglês).

Informações sobre Computação Confiável

Em janeiro de 2002, Bill Gates desafiou os 50.000 funcionários da Microsoft a criar um ambiente de computação confiável para clientes, que fosse tão confiável quando a eletricidade que fornece energia às casas e aos escritórios hoje. Os quatro fundamentos da iniciativa de Computação Confiável são segurança, privacidade, confiabilidade e integridade dos negócios, como descrito abaixo:

• Segurança. O cliente espera que os sistemas sejam resistentes a ataques e que a confidencialidade, a integridade e a disponibilidade desse sistema e de seus dados estejam protegidos.
• Privacidade. Os clientes podem controlar seus dados e quaisquer pessoas que usem esses dados com seriedade aderem aos princípios legítimos de informação.
• Confiabilidade. O cliente pode depender do produto para cumprir suas funções**.**
• Integridade dos negócios. O fornecedor de um produto comporta-se de modo responsivo e responsável**.**

A Microsoft criou uma estrutura para controlar e medir seu progresso no que diz respeito ao cumprimento dos objetivos e das metas de segurança da iniciativa de Computação Confiável: seguro no design, seguro por padrão, seguro na instalação e comunicações (SD3+C).

Seguro no design

A meta de seguro no design é eliminar todas as vulnerabilidades de segurança antes do lançamento dos produtos e adicionar recursos que aumentem a segurança desses produtos. A meta requer:

• Criação de uma arquitetura segura. Os edifícios de bancos são projetados de acordo com vários requisitos de segurança. Sua arquitetura é uma conseqüência direta da necessidade de cofres e de outros recursos adicionais de segurança. O software deve ser desenvolvido para segurança do mesmo modo. A Microsoft está comprometida em desenvolver produtos seguros desde o início.
• Adicionando recursos de segurança. A Microsoft está ampliando os conjuntos de recursos dos produtos para habilitar novos recursos de segurança.
• Reduzindo o número de vulnerabilidades em códigos novos e existentes. A Microsoft está aperfeiçoando seu processo de desenvolvimento interno para tornar os desenvolvedores mais conscientes dos problemas de segurança durante o processo de criação e desenvolvimento do software.

Seguro por padrão

A meta principal de seguro por padrão é fazer com que a Microsoft forneça produtos cada vez mais seguros, desativando serviços desnecessários em muitos cenários de clientes e reduzindo as permissões concedidas automaticamente. Esses esforços reduzem a "área de superfície" disponível para ataques. Uma decisão consciente para chamar esses serviços aumenta a probabilidade de que eles sejam gerenciados e monitorados corretamente.

Seguro na instalação

As metas seguro no design e seguro por padrão são muito importantes, mas elas se aplicam somente quando os produtos estão em processo de criação. A meta seguro na instalação também é muito importante porque a operação de computadores e de sistemas de rede é uma atividade contínua. Portanto, a Microsoft está aumentando o fornecimento de suporte aos clientes para ajudá-los com essas cinco atividades distintas, porém estreitamente relacionadas:

• Proteger os sistemas certificando-se de que as pessoas, os processos e as tecnologias corretos(as) estejam prontos para ajudar a garantir que os dados estejam acessíveis somente a usuários confiáveis e que os sistemas estejam configurados e atualizados adequadamente, conforme necessário para ajudar a impedir o acesso de usuários não autorizados. A proteção de rede é como bloquear as portas da sua casa para impedir o acesso de invasores.
• Detectar tentativas de invasão, violações de segurança, problemas operacionais, comportamento inesperado ou indicações anteriores à falha. Esse tipo de detecção é comparada à configuração do sistema de alarme de segurança da sua casa. Assim você fica em alerta sobre perigos potenciais.
• Defender os sistemas realizando ações corretivas quando ocorre uma violação de segurança ou quando essa situação é suspeita. A defesa é como chamar a polícia durante uma invasão.
• Recuperar computadores comprometidos, suspeitos ou com falhas depende de ter os sistemas e os processos corretos prontos para restaurar uma máquina e seus dados para o último estado conhecido bom enquanto reduz o tempo de inatividade. A recuperação é como chamar a seguradora para cuidar dos danos depois de uma invasão. Em TI (tecnologia da informação), isso significa ter sistemas de backup disponíveis que permitam a rápida restauração de sistemas infectados para um estado conhecido bom anterior.
• Gerenciar e coordenar a proteção, a detecção, a defesa e a recuperação de dados críticos significa ter diretivas e procedimentos adequados internos para coordenar essas atividades. O gerenciamento é comparado às regras de segurança residencial, à aquisição de seguro e à atualização de suas diretivas à medida que sua propriedade e suas posses são modificadas. Dessa mesma forma, o gerenciamento de segurança de TI requer diretivas de segurança atualizadas, pois as ameaças e os ativos se modificam com o tempo. Muitas tarefas de gerenciamento de segurança podem ser automatizadas, e os sistemas podem ser configurados para alertar o administrador quando violações de diretiva são detectadas ou quando os limites de desempenho ou de comportamento específicos para o usuário são ultrapassados. O gerenciamento de segurança conta com administradores que são adequadamente treinados conforme as práticas recomendadas e que reforçam as diretivas e os procedimentos de segurança de forma consistente.

Comunicações

Os avanços de segurança, os patches e o conhecimento serão insuficientes se não forem amplamente espalhados e comunicados com clareza aos usuários. A Microsoft está comprometida em estabelecer uma comunicação bidirecional com os clientes para que a empresa crie ferramentas e guias úteis para ajudar a reduzir os riscos de segurança. A estratégia de comunicação da Microsoft inclui:

• Disponibilizar informações e patches precisos assim que as vulnerabilidades forem descobertas.
• Fornecer ferramentas e guias descritivos aos clientes para ajudá-los a compreender o funcionamento de seus sistemas de forma segura.
• Fornecer avisos sobre novos ataques e novas práticas recomendadas que surgem em resposta às ameaças e às alterações na tecnologia.

Garantindo a segurança em edições do Office 2003

Para que o design das edições do Office 2003 fosse o mais seguro conjunto de aplicativos de operadores de informação já oferecido, a Microsoft baseou-se no trabalho de segurança iterativa substancial feito nas versões anteriores do Office. Com o Office XP, por exemplo, a Microsoft fez grandes avanços na segurança introduzindo melhor segurança contra macros, recursos de assinatura de código e outros recursos (como a manipulação de anexos do Outlook) especificamente criados em resposta a novas ameaças. O desenvolvimento do Office XP representou o mais incrível trabalho de segurança até hoje na Microsoft, e as lições aprendidas forneceram a base para que os desenvolvedores pudessem criar novos recursos de segurança, aprimorar os recursos existentes e os modelos de desenvolvimento para as edições do Office 2003.

Entretanto, as edições do Office 2003 não são simplesmente “mais seguras” que o Office XP; como resultado do primeiro ciclo de desenvolvimento da versão do Office, concluído de acordo com a iniciativa de Computação Confiável, as edições do Office 2003 alcançaram os níveis mais altos de segurança já alcançados, porque a Microsoft, mais do que nunca, criou melhores processos e metodologias para fornecer segurança no processo de desenvolvimento.

Bem no início do processo de desenvolvimento das edições do Office 2003, antes da definição das especificações, a equipe de design executou um intenso exercício de modelagem de ameaças. Em conseqüência desse intenso esforço para se analisar as principais ameaças de aplicativos de produtividade do Office e como parte do planejamento, todas as especificações demonstraram uma completa infusão de consciência de segurança. Cada recurso foi criado com base na segurança.

A Microsoft também estabeleceu uma equipe dedicada, formada por vários grupos, conhecida como equipe de Computação Confiável do Office. Composta pelos principais desenvolvedores, essa equipe era responsável pelo cumprimento de metas importantes:

• Assegurar a adoção de novos processos e novas práticas de Computação Confiável.
• Agir como a "consciência" e como um tipo de sintetizador do grupo inteiro de desenvolvimento do Office. Por exemplo, executando revisões de projeto no nível de recursos no estágio de especificações, no estágio de teste e no estágio de integração, a equipe virtual pôde fornecer sua perspectiva valiosa e fazer recomendações pertinentes. Houve momentos, por exemplo, em que a equipe de Computação Confiável do Office viu que dois grupos diferentes de desenvolvimento, trabalhando em recursos diferentes, estavam planejando procedimentos de segurança semelhantes - eles podiam direcionar ambas as equipes em direção a uma solução compartilhada.
• Fornecer treinamento e suporte a todos os níveis e disciplinas para as equipes do Office.
• Estabelecer e supervisionar o uso de ferramentas de design e teste. Por exemplo, a equipe implementou o OACR (Office Automated Code Review), um sistema de revisão de código abrangente desenvolvido para garantir que todos os códigos atendam os padrões de Computação Confiável. Por exemplo, no OACR, todos os códigos dever passar em todos os testes de segurança antes de serem lançados.
• Supervisionar a diretiva de privacidade do Office, incluindo a garantida de que o Office atenda aos requisitos de Privacidade legal.

Dentro do contexto da iniciativa de Computação Confiável, a equipe de Computação Confiável do Office exerceu um papel importante no desenvolvimento das edições do Office 2003. Os membros dessa equipe tiveram inúmeras vantagens, incluindo 1) a experiência de um bom trabalho de segurança que fizeram em versões anteriores do Office e 2) o sucesso da equipe do Windows® Server™ 2003 à medida que implementavam os princípios de Computação Confiável. Eles também tiveram a vantagem de continuar a estar envolvidos com as respectivas equipes de desenvolvimento, em que eram pessoalmente responsáveis pelo produto criado por elas.

Resumindo, a visão e a estrutura de desenvolvimento inspiradas pela iniciativa de Computação Confiável permitiram que a Microsoft fornecesse uma versão do Office mais segura no projeto, por definição e na instalação em relação a versões anteriores do Office.

Seguro no design

As edições do Office 2003 oferecem novos recursos importantes totalmente voltados para o fornecimento e o aperfeiçoamento da segurança. Entre eles estão:

• Proteção de documentos e dados
  • Restrições de edição do Word 2003 - o Word 2003 permite que os usuários bloqueiem partes de documentos do Word para impedir que outros editem seções que não estejam autorizados a editar. Um autor pode optar por permitir que outros usuários façam alterações por meio das marcas de revisão ou em documentos inteiros somente leitura.
  • Restrições de formatação do Word 2003 - o Word 2003 permite que os usuários bloqueiem um documento por meio da opção Proteger Documentos no Painel de Tarefas para que outros possam editar seu conteúdo, mas não possam alterar o estilo de formatação do documento.
  • Código incorporado no XML - o Word 2003 inclui avanços de tecnologia que permitem a programas antivírus analisar rápida e efetivamente o formato de arquivo Word XML original compatível com W3C. A Microsoft trabalhou com pesquisadores de antivírus para adicionar três sinalizadores ao cabeçalho dos documentos salvos no formato de arquivo do Word XML original que permitirão ao software antivírus determinar de modo mais rápido se um documento contém objetos e macros internas potencialmente perigosas e removê-las se necessário.
  • Assinaturas digitais para bancos de dados do Microsoft Office Access 2003 - No Access 2003, os operadores de informação agora podem assinar seus bancos de dados digitalmente.
• Proteção contra objetivos mal-intencionados
  • Modo seguro do Microsoft Office InfoPath™ 2003 – As soluções baseadas no InfoPath em Modo Seguro são instaladas pela URL (o download pode ser silencioso e a atualização pode ser automática) e armazenadas em um cache local. As soluções de modo seguro são executadas com o mesmo modelo de segurança que as páginas da Web no Internet Explorer e têm acesso apenas ao formato atual (elas não têm acesso a qualquer recurso do computador local).
  • Bloqueio de anexos - Para ajudar a proteger a privacidade e a combater ameaças presentes na Web, o Microsoft Office Outlook® 2003 está configurado, por padrão, para bloquear o download de conteúdo externo da Internet. Se uma mensagem de email tentar conectar-se a um servidor da Web na Internet silenciosamente, o Outlook bloqueará essa conexão até que o usuário decida exibir o conteúdo.
  • Segurança de documentos inteligentes - Os documentos inteligentes devem ser assinados por uma autoridade confiável antes de serem baixados e instalados na máquina do usuário. Mesmo assim, o usuário, quando solicitado, pode negar a instalação do documento inteligente.

Seguro por padrão

Para cumprir as metas de segurança das edições do Office 2003 por definição, a "superfície de ataque" foi reduzida com a criação de uma configuração padrão mais forte, a habilitação de novos recursos projetados em resposta às ameaças recentes e o aperfeiçoamento da integração de segurança entre os programas das edições do Office 2003 e outros aplicativos, como o Microsoft Windows SharePoint™ Services.

• Para reduzir a superfície de ataque padrão das edições do Office 2003, a Microsoft otimizou várias configurações para fornecer um ambiente seguro sem exigir que os usuários entendessem de segurança. Por exemplo, o Outlook 2003 agora bloqueia links externos por padrão para proteger o computador contra determinadas vulnerabilidades de segurança e spams. Como outro exemplo de como proteger os operadores de informação contra perigos sutis, os XSLs (arquivos de transformação) no Excel 2003 estão agora ligados aos níveis de segurança de macros para que elas não sejam executadas automaticamente – e como a segurança das macros é Alta por padrão, assim também é a segurança de XSL.
• Novos recursos de segurança habilitados por padrão reduzem o risco de várias ameaças de segurança recentes e permite que os usuários mantenham sua própria segurança alta. Por exemplo, ao carregar os controles do ActiveX® marcados como não seguros para inicialização, os programas do Office 2003 perguntarão se você irá usá-los ou não. A Microsoft também trabalhou no sentido de fornecer um aviso em cenários de tipo de URL “perigoso” - o objetivo principal aqui é oferecer proteção quando URLs estiverem ocultas, por exemplo, uma personalização de barra de ferramentas ou de menu.
• Nova integração com outros aplicativos importantes para os usuários fornece uma abordagem mais abrangente sobre segurança. Por exemplo, todos os programas das edições do Office 2003 agora usam o cache do Microsoft Internet Explorer como o local temporário para arquivos, distanciando todos os possíveis ataques e scripts desses arquivos na zona da Internet e não na máquina local.

Para obter uma lista maior das principais configurações padrão nas edições do Office 2003, consulte o Apêndice A.

Seguro na instalação

Além do projeto de arquitetura seguro e dos recursos adicionais de segurança das edições do Office 2003, a Microsoft oferece aos clientes ferramentas, guias descritivos, treinamento e serviços.

Ferramentas

A Microsoft fornece métodos um pouco diferentes para criação e implantação das configurações de segurança:

• Assistente para Instalação Personalizada - O modo mais fácil para aplicar as configurações como parte da implantação das edições do Office 2003 é usar o CIW (Custom Installation Wizard ou Assistente para instalação personalizada). O CIW é uma ferramenta especial, fornecida com o Office Resource Kit, que fornece uma interface de assistente para especificação das configurações relacionadas à instalação disponíveis nas edições do Office 2003.
   
• Admin.oft - O arquivo Admin.oft (do Office Resource Kit) permite que os administradores definam as configurações de segurança padrão do Outlook 2003 para clientes.
   
• Diretiva do sistema – Os administradores podem usar a Diretiva do Sistema para implantar as configurações do Office. A Diretiva do sistema tem a vantagem de suas configurações serem continuamente reforçadas, o que não ocorre com as configurações implantadas pelo CIW, que podem ser substituídas pelos usuários. Dois nós da Diretiva do Sistema fornecem efetivamente o mesmo controle, como o CIW em configurações específicas da máquina e configurações específicas do usuário. As configurações são armazenadas no registro, e os programas das edições do Office 2003 verificam essas configurações nessas chaves sempre que forem inicializados. O resultado é um forte reforço das diretivas definidas pelo administrador, pois os usuários não podem alterar essas configurações.
  O melhor de tudo nas diretivas do sistema é que ninguém tem que tocar a estação de trabalho para alterar as configurações: no próximo logon do usuário (ou periodicamente, em clientes Windows 2000) as novas configurações serão automaticamente baixadas e aplicadas.
   
• Diretiva de grupo – A Diretiva de grupo do Microsoft Windows 2000 e do Microsoft Windows Server 2003 é semelhante às diretivas do sistema, porém muito mais abrangentes. É possível criar GPOs (Group Policy Objects, objetos de diretiva de grupo) para uma ampla variedade de tarefas e ter mais opções sobre como reforçar aquelas configurações.
  Há dois tipos principais de GPOs que um administrador pode criar para as edições do Office 2003. Existem GPOs para implantar e gerenciar os softwares das edições do Office 2003 e GPOs para gerenciar as configurações. (O primeiro usa a distribuição de software e os recursos de publicação do Windows 2000/Windows Server 2003, que não estão no escopo deste documento.)
  As configurações podem ser, e normalmente são, gerenciadas por usuário. As diretivas que determinam o que os usuários podem ou não são aplicadas a usuários e grupos específicos, aonde quer que estejam, e não a computadores específicos - embora o Office também inclua configurações para segurança de computador que podem ser substituídas pelas configurações do usuário, quando necessário.

Guia descritivo

Para ajudar a aprimorar a implantação segura, a Microsoft está oferecendo aos clientes um guia descritivo e soluções de gerenciamento de correção, como:

• O Office 2003 Editions Resource Kit (site em inglês) foi desenvolvido para administradores, profissionais de TI e técnicos de suporte que implantam e mantêm as edições do Microsoft Office 2003 em suas organizações. O Office Resource Kit fornece uma coleção de ferramentas projetadas especificamente para oferecer suporte ao sistema Microsoft Office, além de tópicos abrangentes sobre implantação, segurança, envio de mensagens e suporte mundial.

  https://www.microsoft.com/office/ork/2003/default.htm(site em inglês)
   

• O Informe oficial de segurança do Microsoft Office 2003 (site em inglês) fornece uma descrição detalhada dos novos recursos de segurança, além de sugestões sobre configurações para serem implantadas por meio do CIW, do Admin.oft, das Diretivas do sistema e dos Objetos de diretiva de grupo.
   

• Patch Management Service Offerings (site em inglês) para ajudar as organizar a implantar patches, correções, e Service Packs com segurança e eficiência usando:

  • Microsoft Software Update Services
  • MBSA (Microsoft Baseline Security Analyzer **** ) (site em inglês)

Treinamento e Parceiros

A Microsoft e seus parceiros estão fornecendo juntos novos e aperfeiçoados produtos para detecção de invasão, proteção antivírus e serviços de estratégia, arquitetura, diretiva e implementação de segurança. A Microsoft e seus CTECs (Certified Technical Education Centers ou Centros de educação técnica certificados) fornecem treinamento para ajudar a equipe de TI a reconhecer e atenuar as ameaças de segurança à medida que vão surgindo. Para obter a ajuda necessária:

• Viste os sites (em inglês) especializados Microsoft Consulting Services , Microsoft Certified Partners e Microsoft Gold Certified Partner Program for Security Solutions.
• Obtenha treinamento especializado em segurança fornecido pelos Centros de educação técnica certificados e pelos AATPs (Authorized Academic Training Partners) ou por meio do Microsoft Training and Certification (sites em inglês).

Comunicações

Acompanhando o comprometimento geral de participar de comunicações relevantes e oportunas sobre segurança com os clientes, a Microsoft preparou etapas específicas para fornecer ferramentas e recursos para que os clientes usem as edições do Office 2003. Entre elas estão:

• Microsoft Office Update é uma extensão do Office que ajuda a manter o produtos do Office atualizados. As atualizações de produtos do Office são criadas pela Microsoft para edições do Office 2003, Office XP, e Office 2000 a fim de fornecer os níveis mais altos de segurança, estabilidade e funcionalidade crítica disponíveis.
• O Informe oficial de segurança do Microsoft Office 2003(site em inglês) fornece uma descrição detalhada dos novos recursos de segurança, além de sugestões sobre configurações para serem implantadas por meio do CIW, do Admin.oft, das Diretivas do sistema e dos Objetos de diretiva de grupo.

Tecnologias de segurança nas edições do Office 2003

Para entender melhor como a Microsoft desenvolveu as edições do Office 2003 para que fossem a versão do Office mais segura já lançada, é importante aprender sobre os principais recursos, seu funcionamento e o modo como ele elimina as principais preocupações em relação à segurança. Você perceberá que muitos dos recursos descritos aqui já existiam no Office XP. Quando relevante, indicaremos se um recurso foi aperfeiçoado ou se é um novo recurso para as edições do Office 2003.

Há três principais áreas de interesse funcionais de segurança das edições do Office 2003:

• Certificados e assinaturas digitais
• Proteção e recuperação de dados
• Recursos específicos do programa

Esta seção prioriza o projeto desses recursos e o modo como foram criados com base na segurança. Na verdade, as opções de implantação e uso são discutidas, mas apenas para ajudar a esclarecer o poder ou a relevância dos recursos.

Assinaturas e certificados digitais

As edições do Office 2003 fornecem suporte a assinaturas digitais e a assinaturas de códigos, eliminando diferentes, porém relacionadas, necessidades de segurança. Para ajudar os administradores e os usuários a se beneficiarem dos recursos de assinatura digital e assinatura de códigos, as edições do Office 2003 também fornecem nova funcionalidade para gerenciar fontes confiáveis.

Assinaturas digitais

As edições do Office 2003 usam a tecnologia de assinatura digital para assinar arquivos, documentos, apresentações, pastas de trabalho e outros arquivos de dados. Se o arquivo inteiro for assinado, a assinatura garante que ele não seja modificado.

Assinatura do código

“Assinatura do código” refere-se ao uso de assinaturas em códigos executáveis (incluindo os controles e as macros do Microsoft ActiveX). A assinatura de códigos é usada quando os controles do ActiveX são assinados com o Microsoft Authenticode® para verificar se o código está inalterado desde que foi assinado originalmente. Um controle ou uma macro assinada fornece um alto grau de verificação para se ter certeza de que o objeto tenha sido produzido pelo signatário e não tenha sido modificado. A assinatura não garante que o controle ou macro seja bem intencionada, o nível de confiança ou a competência do signatário; ela apenas ajuda a garantir que o objeto originou-se do signatário especificado.

Observação Se um arquivo contém macros, assinar macros e assinar arquivos são dois processos separados.

Para obter informações adicionais, consulte https://www.microsoft.com/technet/prodtechnol/windows2000serv/evaluate/featfunc/pkiintro.asp (site em inglês).

Além do suporte à assinatura digital e à assinatura de códigos para Word 2003, Microsoft Office PowerPoint® 2003 e Excel 2003, as edições do Office 2003 fornecem suporte para assinatura e código digitais para Access 2003, incluindo arquivos de bancos de dados, macros, códigos do Visual Basic® for Applications e suplementos COM.

• Controles do ActiveX – “Seguros para Inicialização” - A segurança adicional nas edições do Office 2003 ajuda a evitar que os controles "seguros" sejam alterados com objetivos mal-intencionados. Antes das edições do Office 2003, o registro dos controles nem sempre diferenciava os controles do ActiveX designados como SFI (Safe for Initialization ou Seguros Para Inicialização) daqueles marcados como UFI (Unsafe for Initialization ou Não Seguros Para Inicialização), quando o controle era registrado no sistema do usuário.
  Para ajudar a eliminar essa ameaça de segurança, as edições do Office 2003 determinarão, no carregamento de um controle ActiveX, se o controle é SFI ou UFI. Os controles UFI geram um alerta para o usuário identificando o controle como potencialmente não seguro e solicitam que o usuário determine se ele será inicializado ou não. O padrão é não inicializar o controle.
   
• Macros - A assinatura de macros permite que você tenha controle sobre as macros que os usuários podem executar. É possível especificar se as macros não assinadas podem ou não ser executadas e fornecer uma lista de certificados confiáveis para serem usados em autenticação na rede. Como os certificados digitais criados por você não são emitidos por uma autoridade de certificação formal, os projetos de macros assinados com o uso de um certificado são chamados de projetos com assinatura automática. Os certificados que você cria são considerados não autenticados e geram mensagens de aviso se o nível de segurança estiver definido para Alto ou Médio.
   
• Marcas inteligentes - As marcas inteligentes são códigos executáveis, mas não são controles ActiveX, portanto são consideradas parte de um subsistema de proteção de macros. Plug-ins de marcas inteligentes não assinadas não são carregados quando o nível de segurança da macro para um programa estiver definido para Alto. Quando o nível de segurança estiver definido para Médio, o usuário receberá um aviso informando que o programa carregará códigos não assinados. Os plug-ins de marca inteligente podem ser assinados digitalmente para que funcionem no nível Alto de segurança de macro.

Fontes Confiáveis

Normalmente, os usuários tomam decisões deliberadamente sobre quando confiar em executáveis. O recurso de Fontes Confiáveis das edições do Office 2003 permite que os administradores especifiquem se os executáveis devem ser assinados digitalmente para serem executados nos computadores dos usuários e se somente os executáveis de uma lista de fornecedores confiáveis podem ser executados. Usar o recurso Fontes Confiáveis exige que um certificado digital seja usado para assinar cada executável. A assinatura digital identifica a fonte, fornecendo garantias ao usuário de que o código é seguro para ser executado.

Com as edições do Office 2003, em execução no Microsoft Windows XP ou superior, a funcionalidade adicional foi fornecida para simplificar o gerenciamento de fontes confiáveis. A introdução da lista de editores “Não Permitidos” permite que qualquer assinatura digital seja revisada em comparação à lista de assinaturas revogadas ou expiradas. Se o editor estiver nessa lista, o executável será definido como não instalável.

Proteção e recuperação de dados

Programas individuais das edições do Office 2003 fornecem vários métodos para ajudar a proteger documentos. Esses métodos são adicionais e funcionam com os recursos no nível do sistema operacional, como o EFS (Encrypting File System, sistema de arquivos com criptografia) do Microsoft Windows 2000 e o uso de permissões no sistema de arquivos ou no nível de compartilhamento.

Controles de acesso a arquivos

O Word 2003, o Excel 2003 e o PowerPoint 2003 (assim como os predecessores do Office XP) oferecem três tipos de proteção que restringem o número de pessoas que podem abrir ou modificar um arquivo:

• Proteção contra abertura de arquivo - Isso exige que o usuário digite uma senha antes abrir o arquivo. Na verdade, o documento é criptografado (usando um algoritmo que você especifica) para que ele não possa ser lido por ninguém que não tenha a senha.
   
• Proteção contra modificação de arquivo - Isso permite que os usuários abram documentos sem uma senha; entretanto, se a senha não for especificada, o usuário não poderá fazer alterações nem salvá-las no documento.
   
• Proteção recomendada de somente leitura - É solicitado que o usuário abra o arquivo no estado somente leitura, porém ele pode optar por abrir o arquivo no modo de leitura/gravação sem uma senha.

Autores de documentos automaticamente têm permissão de leitura/gravação nos próprios arquivos.

Observação A Proteção contra modificação de arquivo e a Proteção recomendada de somente leitura não usam criptografia no documento nem na senha. Portanto, é possível que essa segurança seja atacada. Nesse caso de risco, a criptografia do documento é recomendada.

Assinaturas digitais e criptografia

Arquivos individuais no Word 2003, no PowerPoint 2003 e no Excel 2003 podem ser assinados digitalmente, criptografados ou assinados e criptografados usando a guia Segurança da caixa de diálogo Opções. As edições do Office 2003 podem usar qualquer fornecedor CryptoAPI instalado no sistema. Os documentos criptografados por CryptoAPI não podem ser abertos por versões anteriores do Office.

Remoção de informações pessoais

Metadados, que geralmente no Office significam dados sobre os autores ou editores que trabalham em um documento, são uma parte útil do documento. Os programas das edições do Office 2003 que fornecem suporte a alterações de rastreamento controlam o que foi alterado, quem alterou e quando a alteração foi feita. Os programas usam essas informações para exibir revisões e possibilitar a mesclagem rápida e seletiva das alterações no documento original

Esses metadados, também conhecidos como propriedades de documentos ou propriedades de arquivos de documento, podem ser removidos de documentos do Word 2003, do PowerPoint 2003 e do Excel 2003 antes de salvar esses documentos. Além disso, o Word 2003 permite que você solicite um aviso quando estiver prestes a salvar, imprimir ou enviar um arquivo que contém metadados (incluindo alterações e comentários controlados). Esse aviso é emitido por definição; você ainda terá que remover os metadados se não quiser que sejam expostos.

Recuperação de dados com Auto Recuperação

No sentido tradicional de recuperação automática, esse pode não parecer um recurso de segurança; Contudo, uma definição de segurança mais ampla como "o que ajuda a prevenir perda de dados" certamente incluirá esse recurso fornecido no Office XP originalmente. Quando o programa das edições do Office 2003 encontrar um problema e parar de responder, a janela Recuperação do Aplicativo permite que feche o programa de modo controlado. Os arquivos nos quais está trabalhando são verificados quanto a erros e, se possível, as informações que eles contêm são recuperadas.

Você pode proteger seu trabalho usando o recurso Auto Recuperação para salvar regularmente uma cópia temporária do arquivo. Para recuperar o trabalho depois de uma queda de energia ou de qualquer outro problema, o recurso Auto Recuperação deve estar ativado antes de ocorrer o problema. Você pode ajustar o intervalo de gravação de Auto Recuperação que é de 10 minutos, se necessário.

Sempre que um programa das edições do Office 2003 for reiniciado depois de uma finalização anormal, o painel de tarefas Recuperação de Documento irá listar os arquivos que foram recuperados quando o programa parou de responder. Também é possível optar por reiniciar o programa e continuar do lugar em que parou.

API para antivírus do Office 2003

Versões anteriores do Office forneciam uma API para software antivírus para ser executada no processo "Arquivo - Abrir" do Office e para analisar um documento que o Office estava abrindo. Há suporte para essa API no Word 2003, no Excel 2003, no PowerPoint 2003 e no Access 2003. Essa funcionalidade é muito valiosa para os clientes, e os fornecedores de software antivírus estão exigindo deste recurso cada vez mais. Especificamente, a API permite que os fornecedores de software antivírus habilitem uma funcionalidade que, se aplicada no nível do disco, pode causar um impacto negativo no desempenho.

Proteção específica do programa

Como programas diferentes têm diversos recursos e funções, há também tipos diferentes de proteção de conteúdo de documento disponíveis. Essas proteções são adicionais à proteção de pastas de trabalho ou de documentos por senha.

Observe que proteger elementos de documentos individuais contra alterações, usando os métodos descritos abaixo, não fornece segurança completa, pois os documentos protegidos não são criptografados. Por exemplo, os códigos de campo podem ser exibidos em um editor de texto como o Microsoft Bloco de Notas, e as células ocultas de planilhas do Excel podem ser exibidas se um usuário copiar várias planilhas que incluem células ocultas, colá-las em uma nova planilha e usar o comando Reexibir .

Proteção de documentos no Word 2003

O Word 2003 adiciona novos recursos ao recurso de proteção de documentos disponível no Office 2002. Como no Office 2002, você pode impedir determinados tipos de alterações no documento. No menu Ferramentas, clique em Opções e, em seguida, clique em Proteger Documento. A Proteção de documentos aproveita algumas funcionalidades existentes no Office XP e apresenta novos recursos importantes:

• Restrições de formatação - Uma adição no Word 2003 é a habilidade de proteger o formato do documento, limitando a formatação a uma seleção de estilos. Isso aprimora a habilidade do proprietário do documento em garantir a conformidade com os padrões de folha de estilo e de formatação. O hiperlink Configurações permite definir os estilos de formato específicos que serão disponibilizados aos editores do documento.
   
• Restrições de edição por usuário - No painel Proteção de Documentos, o Word 2003 também fornece a habilidade de restringir os direitos de edição de um documento, semelhante à funcionalidade disponível no Office XP. As opções para restringir a edição são Nenhuma Alteração (Somente Leitura), Alteração controlada, Comentários, Formulários e Seções. Um aperfeiçoamento em relação ao Word 2002 é a habilidade de restringir e conceder acesso de edição por usuário e por grupo. Isso habilita novas opções para colaboração. Considere o seguinte cenário: um usuário tem um documento que requer entrada de vários usuários, mas ele não quer que colaboradores alterem nada, exceto as seções nas quais são especialistas. Em vez de ter que enviar várias versões do documento e combinar as alterações ela mesma, ele pode fornecer acesso específico a cada usuário, enviar-lhes o mesmo documento, e eles poderão modificar somente suas próprias seções.

Proteção de pasta de trabalho no Excel 2003

Com a proteção de senha e as ferramentas de criptografia de arquivos, o Excel 2003 permite proteger elementos adicionais em uma planilha ou pasta de trabalho. O menu Ferramentas | Proteção fornece quatro comandos:

• O comando Proteger Planilha permite proteger as células selecionadas dentro da planilha, evitar alterações e bloqueios de células. Os usuários podem bloquear células usando o comando Formatar Células. A proteção de planilha também permite conceder acesso aos usuários para executarem operações específicas na planilha, incluindo formatação de células, linhas e colunas, inserção e remoção de colunas e linhas, modificação ou inserção de hiperlinks e edição de vários tipos de objetos.
   
• O comando Permitir que os Usuários Editem Intervalos permite conceder permissões a grupos, usuários ou computadores específicos para acessarem e editarem determinadas células e intervalos na planilha protegida.
   
• O comando Proteger Pasta de Trabalho permite especificar os itens que deseja proteger em uma pasta de trabalho e uma senha para impedir que usuários não autorizados removam a proteção.
   
• O comando Proteger e Compartilhar Pasta de Trabalho compartilha uma pasta de trabalho e ativa o controle de alterações. Isso permite que outros usuários façam alterações que devem ser controladas; contudo, você pode especificar uma senha para desativar a opção Controlar Alterações. Em uma pasta de trabalho que já esteja compartilhada, você pode ativar a proteção para compartilhar e controlar o histórico de alterações, porém não é possível atribuir uma senha até remover a pasta de trabalho do uso compartilhado.

Proteção de documentos no PowerPoint 2003

Assim como os outros programas das edições do Office 2003, o PowerPoint 2003 fornece suporte à configuração de nível de segurança de macro. Ele também fornece suporte para criptografia de arquivos para armazenamento, adição de assinaturas digitais a arquivos e remoção de informações pessoais dos arquivos antes de salvá-los.

Proteção de dados no Access 2003

O Access inclui vários métodos de controle de nível de acesso que os usuários têm no banco de dados do Access e em seus objetos. Esses métodos estão descritos a seguir:

• Mostrar ou ocultar objetos na janela Banco de Dados - Esse é o método mais simples de proteção que permite proteger os objetos contidos no banco de dados de outros usuário, ocultando os objetos na janela Banco de Dados.
   

• Segurança no nível do usuário: um dos melhores métodos para garantir a segurança do banco de dados é aplicar a segurança no nível do usuário, no qual é possível estabelecer níveis diferentes de acesso a dados e a objetos importantes no banco de dados. Para usar um banco de dados que esteja seguro com a segurança no nível do usuário, o usuário deve digitar uma senha ao iniciar o Access. O Access lê um arquivo de informações do grupo de trabalho em que cada usuário é identificado por um código de identificação exclusivo. O nível de acesso e os objetos que um usuário pode acessar são estabelecidos com base no código de identificação e na senha.
   

• Assinaturas digitais para bancos de dados do Access: agora, nas edições do Office 2003, os usuários podem assinar digitalmente seus bancos de dados do Access. Quando um usuário assina um banco de dados, o Access calcula e armazena um hash para o projeto VBA e para as macros do Access no banco de dados.
  O usuário (ou o administrador de TI) seleciona um dos três níveis de segurança que controlam como o Access se comporta ao iniciar bancos de dados. Esse nível de segurança é comum para todos os objetos assináveis, incluindo Suplementos COM, projeto VBA de banco de dados e macros que o usuário tem. Os Suplementos COM e os suplementos de tipo Manager respeitarão a caixa de seleção "Confiar em todos os suplementos e modelos instalados" em todos os níveis de segurança. Se os níveis de segurança forem baixos, o Access se comportará como nas versões anteriores. Se os níveis de segurança forem altos, o Access abrirá somente os bancos de dados que tiverem uma assinatura digital confiável.
   

• Modo seguro do JET ES: O ES (Expression Service ou Serviço de Expressão) é usado sempre que o Access avalia uma expressão. Ele, por sua vez, chamará o Access, as Funções definidas pelo usuário ou o VBA para avaliar a expressão.

  Essas expressões podem apresentar riscos, motivo pelo qual o JET implementou um modo seguro. No Access 2003, o modo seguro permite:

  • Funções de VBA seguras
  • Funções e propriedades do Access seguras
  • Funções definidas por usuário confiável

Observação O modo seguro é mais restritivo que o modo não seguro, portanto haverá alguns aplicativos do Access legítimos que não funcionarão corretamente. A solução temporária adequada é gravar as funções definidas pelo usuário que irão chamar o VBA não protegido ou as funções do Access.

Segurança do Outlook 2003

O Outlook 2003 apresenta uma atualização importante no produto, incluindo novos recursos, desempenho aperfeiçoado e mais melhorias do que qualquer outra versão desse produto até hoje. Inclusos no Outlook 2003 estão vários recursos de segurança conhecidos, disponíveis no Office 2002, e vários recursos avançados de segurança para gerenciar e-mails.

A Microsoft desenvolveu o Outlook 2003 com os seguintes recursos:

• Segurança de anexos - Para ajudar a proteger seu computador contra vírus, o Outlook 2003 verifica o tipo de arquivo de cada anexo de mensagem e compara-o com uma lista interna de tipos de arquivos de anexos. Os administradores também podem especificar uma lista em uma pasta pública do Exchange para que clientes específicos do Outlook 2003 em uma organização tenham uma lista personalizada. Cada tipo de arquivo na lista é atribuído a um nível:
   

  • Nível 1: tipos de arquivo, como .bat, .exe, .vbs e .js, são bloqueados pelo Outlook 2003, e os usuários não podem visualizá-los nem acessá-los. Sua Caixa de Entrada exibe o ícone de clipe na coluna Anexo para que você saiba que a mensagem tem um anexo, e há uma lista de arquivos de anexo bloqueados na Barra de Informações na parte superior da mensagem.
     
  • Nível 2: todos os outros tipos de arquivos. Com os anexos do nível 2, você pode ver o ícone do anexo e, ao clicar duas vezes nele, será necessário salvá-lo no disco rígido, pois não será possível executá-lo diretamente desse local. Depois de salvar o anexo, você poderá decidir o modo como manuseá-lo.

  Ao enviar um anexo que tenha uma extensão do tipo de arquivo na lista de restrição, uma mensagem é exibida informando que os destinatários do Outlook podem não acessar esse tipo de anexo.
   

• Segurança de catálogo de endereços - O Outlook 2003 não permite mais que os programas acessem automaticamente o Catálogo de Endereços ou a lista Contatos nem enviem mensagens em seu nome. O acesso programático às informações de contato é uma faca de dois gumes: é muito útil para permitir que alguns programas (como o Microsoft ActiveSync® ou o Palm Desktop) acessem as informações de contato, mas as mesmas interfaces podem ser usadas para propagação de vírus ou de executável mal-intencionado.
  Se o código tentar acessar o Catálogo de Endereços do Outlook 2003, um aviso será exibido na tela (veja a figura 1). Você pode permitir que o programa acesse essa instância ou marcar a caixa de seleção Permitir acesso para e especificar uma quantidade de tempo até 10 minutos. Se não desejar que o programa acesse o Catálogo de Endereços, clique no botão Não.

  **
  Figura 1 O Outlook 2003 fornece um aviso informando que um programa está tentando acessar informações de contato**
   

• Configuração de sites restritos - No Outlook 2003, a configuração de zona de segurança padrão é Sites Restritos (em vez de Internet); ativar scripts em sites restritos também é desabilitado por padrão. A zona de segurança Sites Restritos desabilita a maioria dos scripts automáticos e evita que os controles do ActiveX sejam abertos sem permissão. Esses novos recursos de segurança ajudam a proteger os usuários contra muitos vírus espalhados por meio de scripts. Para obter mais informações sobre as zonas Sites Restritos e Internet, consulte o seguinte artigo da Base de Conhecimento Microsoft: (Q174360) How to Use Security Zones in Internet Explorer (site em inglês).
   

• Proteção de mensagens em HTML - Para proteger o computador contra vírus que podem estar em mensagens recebidas em HTML, os scripts de mensagens no formato HTML não serão executados e os controles do ActiveX serão desativados, independentemente das configurações de zona de segurança. Isso porque a zona de segurança do Outlook 2003 está definida para Sites Restritos, por padrão.
   

• Instalação de controles COM - Os administradores podem especificar uma lista de suplementos COM, em que a atualização de segurança confia, e executá-los sem que sejam bloqueados pela segurança do Outlook 2003. Para que o Outlook 2003 siga essa lista de suplementos COM confiáveis, os administradores devem primeiro instalar um controle no computador que estão usando para modificar as configurações de segurança. O controle não precisa estar instalado nos computadores dos usuários finais, somente na máquina do administrador.
   

• Proteção contra SPAM - O filtro Lixo Eletrônico usa um mecanismo de decisão central desenvolvido pela Microsoft Research que analisa e-mails de entrada. Os itens que são Lixos eletrônicos são movidos para um filtro Lixo Eletrônico. Essas mensagens não são excluídas automaticamente. O filtro adapta e aprende suas preferências por meio de um mecanismo de treinamento simples. O usuário diz ao filtro quais itens movidos para o filtro Lixo Eletrônico eram na verdade itens bons e quais itens eram SPAM. Ele usa essas informações para saber o que fazer com mensagens futuras.
   

• Bloqueio de links externos - Os usuários podem controlar se o Outlook 2003 deve baixar e exibir automaticamente conteúdo externo ao abrir uma mensagem em HTML. Os remetentes de lixo eletrônico enviam mensagens que incluem links para conteúdo externo, como figuras ou sons. Quando você abre ou visualiza tal mensagem, o conteúdo é baixado e seu endereço de email é verificado como válido para o remetente. Desse modo, você pode tornar-se o alvo de outros lixos eletrônicos.

Windows SharePoint Services

A integração das edições do Office 2003 com o Windows SharePoint Services fornece escalabilidade e facilidade de implantação. Do ponto de vista da segurança, a combinação de edições do Office 2003 e do Windows SharePoint Services fornece um controle aprimorado dos documentos do Office, incluindo controle de versão e gerenciamento de criação colaborativa. A integração do Windows SharePoint Services e das edições do Office 2003 incluem a habilidade de definir o acesso a documentos por grupos e por usuários, bem como a habilidade para definir permissões granulares no nível de Biblioteca de documentos ou Lista de documentos.

Os recursos da Biblioteca de documentos aperfeiçoam a habilidade que os operadores de informação têm de compartilhar e colaborar nas comunicações e na documentação sem a necessidade de abrir mão da segurança desses documentos. Com os recursos de segurança originais do Windows SharePoint Services que limitam o acesso às definições de usuário e de grupo, a integração das edições do Office 2003 com o Windows SharePoint Services ajuda a fornecer um ambiente seguro para as atividades de colaboração de documentos.

Observação Este recurso requer o Microsoft Windows Server 2003, o IIS e o SQL Server.

InfoPath

O InfoPath oferece duas opções de implantação de formulário com diferentes níveis de segurança. A implantação de modo seguro disponibiliza formulários por meio de um servidor Web ou do Windows SharePoint Services. Nesse tipo de implantação, os formulários não são registrados localmente. Eles são armazenados em cache para serem usados offline e automaticamente atualizados. Esse método de implantação fornece ao Internet Explorer o tipo de modo de seguro para obter segurança alta.

A segunda opção para implantação de formulários do InfoPath é por meio do MSI e de uma instalação personalizada. Esse tipo de implantação usa registros e relações confiáveis para ajudar a garantir a segurança. Ele é mais aplicável a soluções complexas que exigem acesso total ao sistema.

Conclusão

Os avanços de segurança nas edições do Office 2003 refletem a grande ênfase da Microsoft em cumprir sua meta de fornecer sistemas mais seguros no projeto, por definição e na instalação.

Além dos valiosos recursos de segurança, as edições do Office 2003 são definidos por padrão para aumentar a segurança. A Microsoft também fornece guias descritivos, treinamento e ferramentas para ajudar seus clientes a executar uma implantação mais segura.

Para obter mais informações, consulte https://www.microsoft.com/brasil/office.

Apêndice A: Configurações importantes definidas por padrão

Como são muitas as configurações de segurança padrão dos programas nas edições do Office 2003, a lista a seguir contém as novas configurações principais.

• Assim como os programas do Office XP, os programas das edições do Office 2003 têm um nível de segurança definido para Alto, por padrão. O código VBA deve ser assinado, e os certificados devem ser confiáveis para serem executados. Essas configurações também se aplicam ao Project Professional 2003, ao Publisher 2003 e ao Visio 2003.
   
• O Access 2003 executa o Expression Server do mecanismo de banco de dados do Jet no Modo Seguro, por padrão. Era necessário definir uma chave de Registro para fazer isso no passado.
   
• O Access 2003 também tem um modelo de segurança que avisa o usuário quando um banco de dados com códigos, expressões, etc. do VBA é aberto. Ele é fornecido com o nível de segurança Médio (for motivos de compatibilidade com versões anteriores) o que significa que o usuário será avisado; porém NENHUMA assinatura é necessária no nível padrão.
   
• Ao carregar controles ActiveX marcados como não seguros para inicialização, os programas das edições do Office 2003 avisarão o usuário sobre o uso de propriedades persistentes (possivelmente perigosas) no documento. No passado, era necessário definir uma chave de Registro para obter o aviso.
   
• As edições do Office 2003 fornecem suporte ao recurso “Bit de eliminação” para controles ActiveX. O recurso não inicializará os controles com bit de eliminação definido para lista IE.
   
• Alguns controles ActiveX do Office fornecidos (incluindo aqueles para serviços da Web do Office) são “Bloqueados para Site”, o que significa que eles não podem ser executados/hospedados em sites ou domínios específicos que pertençam ao Office comercial. Isso significa que, no caso de um controle ter um bug, ele não poderá ser explorado por códigos em sites mal-intencionados, pois eles não podem determinar o controle.
   
• As soluções de documentos inteligentes do Word 2003 e do Excel 2003 devem ser assinadas, seus certificados devem ser confiáveis e haverá a necessidade de fazer referência a uma localização na zona "Sites Confiáveis" antes de executar códigos ou permitir que os componentes os atualizem.
   
• As Web Parts não podem ser usadas no SharePoint a menos que o controle seja instalado E explicitamente marcado como confiável para ser usado pelo administrador do site.

• O Windows SharePoint Services usa a Autenticação integrada por padrão.
   
• O Programa de Satisfação do Usuário é DESATIVADO por padrão.
   
• As soluções baseadas no InfoPath são executadas no modo seguro, exceto se explicitamente instalado na máquina do usuário.
   
• O Outlook tem filtro de spam aperfeiçoado, por padrão.
   
• O Outlook bloqueia links externos, por padrão, para evitar problemas com tipos de bug da Web.
   
• O Word 2003 não calcula novamente os campos de dados nem os campos incorporados automaticamente.
   
• Todos os programas das edições do Office 2003 agora usam o cache do Internet Explorer como o local temporário para arquivos, distanciando todos os possíveis ataques e scripts desses arquivos na zona da Internet e não na máquina local.
   
• Os aplicativos do Office 2003 fornecem um aviso em cenários de tipo de URL “perigoso” - o objetivo principal aqui é oferecer proteção quando URLs estiverem ocultas, por exemplo, uma personalização de barra de ferramentas ou de menu.
   
• Os XSLs no Excel são associados aos níveis de segurança para que não sejam sempre executados – e como a segurança das macros é Alta por padrão, assim também é a segurança de XSL. Para ser mais específico, os XSLs ainda podem ser usados em todos os níveis de segurança, mas no instante em que detectamos algo potencialmente perigoso, usaremos procedimentos com base nas configurações de macro.
   
• O acesso anônimo ao Windows SharePoint Services está DESATIVADO e desabilitado por padrão.
   
• O Windows SharePoint Services bloqueia uma longa lista de tipos de arquivos de modo que não possam ser carregados nas bibliotecas de documentos, por padrão. Dentre os arquivos estão .exe, .com e .bat.
   
• O Windows SharePoint Services e os serviços de suporte são executados como Serviço de rede, por padrão.
   
• No Excel 2003, os recursos Consultar Tabelas/ Acesso a dados têm mensagens de aviso para os usuários sobre Atualização e Atualização Automática ao Abrir.